Bei der 6360 wird's die 06.03 eben intern schon gegeben haben, so daß hier eine 06.04 rauskam.
Die o.g. 6340 hingegen hatte entsprechend vorher keine 6.03, so daß die gefixte Version hier wie bei den DSL-Fritten die 06.03 ist.
Offensichtlich aber nur für Kabel Deutschland. Die rollen eine 6.04 aus, während KBW die 6.03 (die es gem. dem PDF nicht gibt) ausrollt.
Wenn Du den zitierten Text stehen gelassen oder zumindest gelesen hättest, hättest Du das
6340 erblickt.
Für die ist gar keine Recovery-Firmware im Netz aufgetaucht, zumindest nicht daß ich wüßte.
Logisch also, daß das Changelog der
6360 nicht so recht passen will, wenn wir von einer ganz anderen Box reden.
Port-Scans von 1 bis 65535 über riesige IP-Ranges hinweg halte ich für zu aufwendig.
Aufwendig ist das nicht.
Natürlich ist es das:
Ich habe dazu gerade mal einen Komplettscan bei einem Freund durchgeführt.
Completed SYN Stealth Scan at 14:07, 269.10s elapsed (65535 total ports)
Das sind etwa 4,5 Minuten, d.h. bevor Du 1000 Hosts gescannt hast, bist Du mehr als 3 Tage älter. Willst Du bereits durch nmap sicherstellen, welcher der offenen Ports der richtige für
xxxxx/tcp open ssl/http FRITZ!Box http config
ist, kommt noch ein Service-Scan hinzu.
Probierst Du es hingegen direkt mit einem einzigen Port (Also 443), dann bist Du bei einem Nichttreffer nach <20 Sekunden und bei einem Treffer nach <60 Sekunden durch (Inkl. der Identifikation des offenen Ports als tatsächlicher Fritz!Box-Fernzugriff!).
Damit hätte man nur noch zwischen gut 5h und ca. 16,5h gebraucht.
Für die 8 möglichen Ports (443-450) aus älteren Firmwares, wobei eben viele Fritz!Boxen gewohnheitsmäßig noch auf einem davon konfiguriert sein werden, braucht man nur unwesentlich länger als für einen.
Es ist aber noch einfacher nur 443 zu scannen (im Moment). Die Wahrscheinlichkeit dass ein FB auf einen anderen wie den 443 Port läuft ist wahrscheinlich viel geringer wie die Wahrscheinlichkeit, dass auf einer anderen IP eine FB mit offenem Port 443 läuft.
1. als.
2. Ganz genau. St.-Florian-Prinzip nennt man das.
Solange ich binnen 3,5 Tagen zwischen 16800 (Nieten) und 5000 (Alles Treffer!) Boxen abklappern kann und damit genug Opfer finde, begnüge ich mich nicht mit 1000 (Treffer
und Nieten).
Full Portscan ist erst die Ü30-Party/Restef1cken.
Aus dem Grund sind m.E. auch so viele Kabelkunden betroffen:
- Viele Fritzboxen als Modem/Router
Das wäre bei t-ipconnect.net auch nicht so viel anders.
Da tummeln sich Unmengen an 1&1- oder Congstar-Kunden, die noch viel häufiger (Nämlich meistens) Fritz!Boxen haben als Kabelkunden (Die auch Bridge+D-Link, DK7200 oder Cisco EPC3208G haben könnten).
Wir wissen übrigens längst nicht, wo wirklich die meisten Betroffenen zu finden sind.
Es gibt nur offensichtliche Gründe dafür, wieso wir bisher am meisten von den Opfern bei KNB
wissen:
Diese kriegen das Endgerät meist aufgezwungen, hier ist also der Provider in der Pflicht und hat daher ein Eigeninteresse zum Handeln.
Niemand weiß, wie groß die Opferzahlen bei den anderen Anbietern noch werden, wenn erst einmal alle Rechnungen für Februar raus sind ...
Telekom, Vodafone, etc. haben ja gar keinen Grund, ihre Kunden proaktiv zu warnen, sobald der Mißbrauch anfängt!
Die werden die Euros noch schön von den Konten einziehen, bevor den Kunden überhaupt nur auffällt, daß sie gehackt worden sind ... der blöde Kunde hätte ja das SpeedPort mieten oder die Easybox dranlassen können ...
Ich würde übrigens aus folgender Überlegung heraus gezielt DS-lite-Kunden scannen:
Da das AVM-eigene VPN darüber nicht geht, erwarte ich hier überproportional häufig eine offene Fernwartung ...
Die IPv6-Adressen der Router sind auch relativ vorhersehbar, so daß bei weitem nicht der gesamte Adressbereich gescannt werden muß. Die ganzen dem Kunden zugeteilten /57er Subnetze sind z.B. für Port-Scans irrelevant, da der Router jeweils im übergeordneten Subnet sitzt.
Wäre also wirklich mal interessant zu erfahren, welche Anschlußart die Betroffenen haben, also ob die Attacke IPv4-only oder Dual Stack gefahren wurde.
cfreak: natürlich Testen die es auch selbst, was will da Unitymedia noch testen :zerstör:
